【インシデント速報】2026年4月4日｜大阪マラソン参加者情報閲覧可能・埼玉大委託先不正アクセス・奈良女子大メールサーバー不正利用
secure📅 2026年4月4日（土）速報
先週末にかけて、大規模イベントの参加者情報公開ミス、大学の委託先システムへの不正アクセス、国立大学のメールサーバー不正利用と、性質の異なる3件のインシデントが相次いで公表されました。委託先管理や内部システム管理の重要性が改めて問われています。
今週のインシデント概要（4/4時点）
個人情報公開ミス
大阪マラソン2026参加者4,000名超の個人情報が外部から閲覧可能状態に
- 公表日
- 2026年4月2日
- 被害対象
- 大阪マラソン2026参加者（4,038名）
- 流出内容
- 氏名、住所、連絡先など参加者個人情報
- 原因
- システム設定ミスによる外部公開
大阪マラソン2026の参加者4,038名分の個人情報が、設定ミスにより外部から閲覧可能な状態になっていたことが判明しました。悪意ある第三者によるダウンロードの痕跡は確認されていないとのことですが、期間中に不特定多数がアクセスできた状態であったため、二次被害への警戒が必要です。
🏢 中小企業への影響・教訓
- クラウドストレージやWebフォームのアクセス権限設定ミスは大企業・公共機関を問わず発生します。自社のファイル共有・申込フォームの公開設定を定期チェックすることが重要です。
- イベント・キャンペーン用の一時的なシステムも、本番運用と同等の管理が必要です。
✅ 推奨対応
- クラウドサービスの共有設定を棚卸しし、「リンクを知っている全員」設定を排除する
- 公開・非公開の設定変更時は必ず2名以上でダブルチェックするルールを設ける
- 外部公開URLに対して定期的な自己診断ツールを実施する
不正アクセス・情報漏洩
埼玉大学委託先の特許管理システムへの不正アクセス—関係者1,500名超の情報漏洩
- 公表日
- 2026年4月2日
- 被害対象
- 埼玉大学の研究者・発明者関係者（1,500名超）
- 流出内容
- 氏名、連絡先、発明届出に関する情報
- 原因
- 委託先の特許管理システムへの第三者による不正アクセス
埼玉大学が外部委託する特許管理システムが不正アクセスを受け、大学の研究者・発明者など1,500名を超える関係者の個人情報が漏洩した可能性があると公表されました。大学本体ではなく「委託先」のシステムが攻撃対象となった典型的なサプライチェーン攻撃の事例です。
🏢 中小企業への影響・教訓
- 自社が顧客・大学・官公庁から業務委託を受けている場合、委託元のデータ管理責任も問われます。ISMSや情報セキュリティ基準への準拠が取引継続の条件になりえます。
- 委託先（外部ベンダー）を利用している場合も、そのベンダーのセキュリティ対策を定期的に確認することが求められます。
✅ 推奨対応
- 委託先・SaaS事業者に対して、年1回以上のセキュリティ評価（アンケートや第三者認証確認）を実施する
- 委託契約書にインシデント発生時の通知義務・対応責任を明記する
- 自社が保管する顧客情報のアクセスログ取得・定期確認を行う
メールサーバー不正利用
奈良女子大学のメールサーバーが不正利用—17万件超のスパムメール送信被害
- 公表日
- 2026年4月3日
- 被害規模
- 17万件超のスパムメール送信
- 影響
- メールサーバーIPアドレスがブラックリスト登録、メール送受信に障害
- 原因
- 第三者によるメールサーバーへの不正ログイン・乗っ取り
奈良女子大学のメールサーバーが第三者に不正アクセスされ、17万件を超えるスパムメールの送信に悪用されました。その結果、同大学のメールサーバーIPアドレスがスパムブラックリストに登録され、学内のメール送受信に支障が生じました。
🏢 中小企業への影響・教訓
- 自社のメールサーバー・アカウントが乗っ取られてスパム送信に使われると、自社ドメインがブラックリスト登録され、正規メールが届かなくなるリスクがあります。
- クラウドメール（Gmail・Microsoft 365）でも、弱いパスワードや多要素認証なしでは同様の被害が起きます。
✅ 推奨対応
- メールアカウントすべてに多要素認証（MFA）を設定する（特に管理者アカウント）
- SPF・DKIM・DMARCの設定を確認・強化し、なりすまし対策を行う
- 異常な送信量を検知するアラート設定をメールサーバーまたはセキュリティツールで行う
🔒 AND SECUREからの総括と今週のポイント
- 委託先管理の盲点：自社が直接攻撃されなくても、委託先経由で情報漏洩が発生する事例が急増しています。ベンダー選定時のセキュリティ審査と契約書への明記を徹底しましょう。
- 設定ミスは「うっかり」では済まない：クラウドサービスの公開設定ミスは人的エラーがほとんどです。変更時のダブルチェックと定期棚卸しが有効な対策です。
- メールセキュリティの強化を：メールサーバーの不正利用は業務停止につながります。MFA導入とDMARC設定は今すぐ取り組める対策です。
出典・参考情報
- 大阪マラソン2026参加者情報閲覧可能：Security NEXT / 各社報道（2026年4月2日）
- 埼玉大学委託先特許管理システム不正アクセス：Security NEXT（2026年4月2日）
- 奈良女子大学メールサーバー不正利用：Security NEXT（2026年4月3日）
※本記事は公表情報をもとに編集部が整理したものです。詳細は各機関の公式発表をご確認ください。
